32 2022;103(51–52):32–33  |  Schweizerische Ärztezeitung

Aktuell

© FLY:D / Unsplash
Die FMH steht ihren Mitgliedern zur Seite, um das neue Datenschutzgesetz umzusetzen.

Datenschutzgesetz: Anpassungen
in Arztpraxen
Datenschutz  Am 1. September 2023 wird das totalrevidierte Datenschutzgesetz (DSG) in Kraft tre-
ten. Es enthält zahlreiche Neuerungen, die verschiedene Anpassungen im Umgang mit Personendaten
in der ärztlichen Praxis notwendig machen. Die FMH wird hierfür Musterdokumente zur Verfügung
stellen. Dieser Beitrag stellt die wichtigsten Neuerungen und Hilfsmittel vor.

Bruno Baeriswyla, Reinhold Sojerb

a
Dr.iur., Datenschutzberater der FMH, b Dr. rer. biol. hum., Abteilungsleiter Digitalisierung / eHealth FMH

D
as Ziel der Totalrevision des Daten-
schutzgesetzes (DSG) ist vergleichbar
mit den Anliegen der Datenschutzre-
formen in Europa: Das Datenschutzrecht soll
an die Entwicklungen der digitalen Gesell-
schaft angepasst werden – mit dem Ziel, die
Grundrechte und die Persönlichkeitsrechte der
Bürgerinnen und Bürger zu garantieren. Die
neuen Bestimmungen sollen mehr Transpa-
renz über die Datenbearbeitungen schaffen,
­indem die Rahmenbedingungen im Umgang
mit Personendaten konkretisiert werden und
eine datenschutzfreundliche Technologiegestal-
tung die Daten angemessen schützen soll. An
den Grundsätzen für eine rechtmässige Daten-
bearbeitung ändert sich nichts. Dennoch hat
der Datenbearbeiter – oder der «Verantwortli-
che», wie er im neuen Gesetz genannt wird –
verschiedene neue Bestimmungen zu beachten,
die eine Anpassung der bisherigen Datenbe-
arbeitungsprozesse beinhalten können.
Muster-Datenschutzerklärung
Bei der Beschaffung von Personendaten sind
die betroffenen Personen transparent über die
Datenbearbeitungen zu informieren, insbeson-
dere über den Bearbeitungszweck und allen-
falls über Empfängerinnen und Empfänger der
Daten [1]. Dies beinhaltet in vielen Fällen eine
Anpassung der Datenschutzerklärung der
Arztpraxis. Auf jeden Fall ist eine bestehende
Datenschutzerklärung in Bezug auf die neuen
Bestimmungen zu überprüfen. Die FMH wird
eine Muster-Datenschutzerklärung zur Verfü-
gung stellen.
Soweit für die Bearbeitung von besonders
schützenswerten Personendaten – hierzu gehö-
ren die Gesundheitsdaten einer Person – eine
Einwilligung notwendig ist, hat diese ausdrück-
lich zu erfolgen und ist nur gültig, wenn sie für
eine oder mehrere bestimmte Bearbeitungen
nach angemessener Information freiwillig e­ rfolgt

Published under the copyright license “Attribution – Non-Commercial – NoDerivatives 4.0”. No commercial reuse without permission. See: http://emh.ch/en/services/permissions.html
Schweizerische Ärztezeitung  |  2022;103(51–52):32–33
[2]. Der Katalog der besonders schützenswerten
Personendaten wurde mit den genetischen
Daten und den biometrischen Daten, die eine
Person eindeutig identifizieren, ergänzt [3]. Eine
Einwilligungserklärung, die im Rahmen der
­Patienteninformation eingeholt werden kann,
stellt die FMH zur Verfügung.
Ein besonderes Gewicht legt
das neue Datenschutzgesetz
auf die datenschutzfreundli-
che Technikgestaltung und
die Datensicherheit.
Eine Informationspflicht besteht auch bei
so genannten automatisierten Einzelentschei-
dungen – beispielsweise wenn ein Algorithmus
den Entscheid fällt – sofern diese die betroffene
Person erheblich beeinträchtigt und aus-
schliesslich automatisch getroffen wird [4]. Es
wird im Umfeld von computergestützten Dia-
gnosen zu entscheiden sein, wie weit diese aus-
schliesslich automatisiert erfolgen und daher
eine entsprechende Information der Patientin-
nen und Patienten notwendig machen.
Technik und Sicherheit
Das bisherige Register der Datensammlungen
wird zu einem Verzeichnis der Bearbeitungstä-
tigkeiten [5]. Zwar gilt die Pflicht zur Führung
eines solchen Verzeichnisses nicht mehr für
alle Verantwortlichen, aber für alle, die «beson-
ders schützenswerte Personendaten in grossem
Umfang» [6] bearbeiten. Damit fallen Arztpra-
xen mit ihren Patientendossiers regelmässig
unter diese Pflicht. Das Verzeichnis hat die im
Gesetz detailliert aufgeführten Angaben zu
enthalten. Mit einer Vorlage und einem Leitfa-
den stellt die FMH den Arztpraxen die not-
wendigen Unterlagen zur Verfügung, um die
­gesetzlichen Anforderungen zu erfüllen.
Ein besonderes Gewicht legt das neue Daten-
schutzgesetz auf die datenschutzfreundliche
Technikgestaltung und die Datensicherheit. So
ist der Verantwortliche verpflichtet, die Datenbe-
arbeitungen technisch und organisatorisch so zu
gestalten, dass die Datenschutzvorschriften ein-
gehalten werden («Privacy by design») [7]. Er hat
auch dafür zu sorgen, dass mit geeigneten Vor-
einstellungen sichergestellt ist, dass die Datenbe-
arbeitungen auf das für den Verwendungszweck
notwendige Mindestmass beschränkt sind («Pri-
vacy by default») [8]. Generell hat der Verant-
wortliche eine dem Risiko angemessene Daten-
sicherheit zu gewährleisten [9] und auch beim
Beizug eines Auftragsdatenbearbeiters sich dar-
über zu vergewissern, dass dieser in der Lage ist,
die Datensicherheit zu gewährleisten [10]. Da die
Gesundheitsdaten zu den besonders schützens-
Published under the copyright license “Attribution – Non-Commercial – NoDerivatives 4.0”. No commercial reuse without permission.
werten Personendaten gehören, sind spezifische
Massnahmen der Datensicherheit – beispiels-
weise der Einsatz von Verschlüsselungstechnolo-
gien – notwendig. In Bezug auf die Datensicher-
heit wird die FMH die Leitfäden zum IT-Grund-
schutz anpassen. Dabei werden auch die neuen
Anforderungen in Bezug auf die Datenschutz-
Folgenabschätzung [11] («Risikoanalyse») und
die Erstellung eines Datenbearbeitungsregle-
ments [12] abgedeckt. Das Datenbearbeitungsre-
glement kann dabei auch dokumentieren, dass
die Datenbearbeitungen rechtmässig erfolgen.
Ein Aufbewahrungs- und Archivierungskonzept
sollte dabei das Bearbeitungsreglement ergän-
zen. Die FMH hat einen entsprechenden Leitfa-
den erarbeitet.
In gewissen Fällen hat die Arztpraxis eine
Verletzung der Datensicherheit der Aufsichts-
behörde, dem Eidgenössischen Datenschutz-
und Öffentlichkeitsbeauftragten (EDÖB), zu
melden [13]. Eine Verletzung der Datensicher-
heit liegt beispielsweise vor, wenn ein USB-Stick
mit gespeicherten Personendaten verloren geht
oder das Praxissystem von aussen «gehackt»
wurde. Eine Meldepflicht besteht nur, wenn da-
durch vermutungsweise ein hohes Risiko für
die Persönlichkeitsrechte der betroffenen Per-
sonen entsteht, was bei Gesundheitsdaten nicht
zum vornherein auszuschliessen ist. Für die
Arztpraxen empfiehlt es sich deshalb, ein Vor-
gehen zu definieren, wie mit solchen Situatio-
nen umzugehen ist. Hierfür stellt die FMH eine
Checkliste und eine Prozessbeschreibung bei
Datenschutzverletzungen zur Verfügung.
Wie bisher ist den betroffe-
nen Personen Auskunft
darüber zu erteilen, welche
Daten über sie bearbeitet
werden.
Das Auskunftsrecht
Wie bisher ist den betroffenen Personen Aus-
kunft darüber zu erteilen, welche Daten über
sie bearbeitet werden («Auskunftsrecht») [14].
Dabei gilt auch weiterhin, dass betroffenen Per-
sonen mit ihrer Einwilligung die Auskunft an
eine von ihr bezeichnete Gesundheitsfachper-
son erteilt werden kann. Mit dem Auskunfts-
recht ist ein Anspruch auf Kopien des Patien-
tendossiers verbunden, aber grundsätzlich kein
Anspruch auf Herausgabe der Krankenge-
schichte. Für die korrekte Behandlung von
Auskunfts- oder Herausgabegesuchen hat die
FMH die bestehende Handlungsanleitung
überarbeitet.
Das neue Datenschutzgesetz hat zahlreiche
Strafbestimmungen [15]. Sie stellen insbeson-
dere die Verletzung von Informations-, Aus-
33
Aktuell
Hilfsmittel, welche von
der FMH zum neuen
Datenschutzgesetz (DSG)
erstellt werden
• Datenschutzerklärung
• Einwilligungserklärung
• Vorlage und Leitfaden Verzeichnis der
Bearbeitungstätigkeiten
• Leitfaden für die Aufbewahrung und
Archivierung
• Checkliste und Prozessablauf bei
Datenschutzverletzungen
• Anleitung Auskunfts- und Herausgabe-
gesuche
• Geheimhaltungserklärungen
kunfts- und Mitwirkungspflichten sowie die
Verletzung von Sorgfaltspflichten unter Strafe.
Dabei sind Bussen bis CHF 250 000 vorgesehen.
Strafbar machen sich auf Antrag nur Personen,
die vorsätzlich – mit Wissen und Willen – diese
Pflichten verletzen. Dies ist bei einer verantwor-
tungsvollen Datenbearbeitung – wozu die
Hilfsmittel der FMH dienen – kaum gegeben.
Wesentlich bleibt wie bisher die ­berufliche
Schweigepflicht (Art. 321 StGB), die auch bei
der zunehmend digitalisierten Datenbearbei-
tung zu beachten ist. Dabei ist es wichtig, dass
diese Geheimhaltung auch den Mitarbeitenden
oder externen Dritten als Hilfspersonen über-
bunden wird. Für beide Fälle bestehen Geheim-
haltungserklärungen der FMH.
Korrespondenz
ehealth[at]fmh.ch
Gesetzesbestimmungen
Vollständige Liste der Gesetzesbestimmungen unter
www.saez.ch oder via QR-Code
See: http://emh.ch/en/services/permissions.html